--- title: "Sicherheit durch verzeichniswechsel" url: "https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel" source: "typo3.net" tags: ["Allgemein","Frage","Sicherheit"] created: "2004-08-10" last_reply: "2004-10-22" replies: 23 solved: false page: 1 pages: 1 lang: "de" --- # Sicherheit durch verzeichniswechsel Allgemein · 23 Antworten · gestartet 2004-08-10 ## Eröffnungsbeitrag **fschnidi** · 2004-08-10 · [Beitrag #1](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/1) salü gibt es evtl. irgendwo eine anleitung, die mir erklärt wie ich den adminzugang www.domain.com/typo3 ändern kann in z.b. www.domain.com/administration..? da man ja wahrscheinlich dabei mit symbolischen links arbeiten muss, frage ich lieber nach! solch ein verzeichnisnamen wechsel wäre ja schonmal eine hürde für evtl. "hack-kiddies".. danke ## Antworten ### [#2](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/2) · jweiland · 2004-08-10 Dazu gibt es eine Anleitung in einer der Typo3 Dokus ("Inside Typo3"), da steht auch sonst noch einiges über Security. Ansonsten kann es sinnvoll sein, das typo3 Verzeichnis per .htaccess zu schützen Jochen Weiland ### [#3](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/3) · maxhb · 2004-08-10 > **jweiland schrieb:** > > Ansonsten kann es sinnvoll sein, das typo3 Verzeichnis per .htaccess zu schützen Ich denke, die Absicherunge per .htaccess-Datei ist auf jeden Fall dem verstecken des Verzeichnisses vorzuziehen, da dieses Vorgehen viel sicherer ist. Ist es eigentlich möglich, den Admin-Bereich per .htaccess zu schützen und die Anmeldedaten aus dem entsprechenden Login in Typo3 weiter zu verwenden? Ansonsten muss man sich nämlich leider 2 Mal einloggen... CU maxhb ### [#4](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/4) · doku · 2004-08-10 > **maxhb schrieb:** > > Ansonsten muss man sich nämlich leider 2 Mal einloggen... na komm, jeder weiß doch: **doppelt hält besser**... ;) ### [#5](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/5) · maxhb · 2004-08-10 > **doku schrieb:** > > > **maxhb schrieb:** > > > > Ansonsten muss man sich nämlich leider 2 Mal einloggen... > > na komm, jeder weiß doch: **doppelt hält besser**... ;) naja, theoretisch verbessert sowas sogar die Sicherheit, aber praktisch ist es eine Qual für die Redakteure ... CU maxhb ### [#6](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/6) · doku · 2004-08-10 > **maxhb schrieb:** > > ...aber praktisch ist es eine Qual für die Redakteure ... na siehste, noch´n grund mehr... :D :D ### [#7](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/7) · maxhb · 2004-08-10 > **fschnidi schrieb:** > > solch ein verzeichnisnamen wechsel wäre ja schonmal eine hürde für evtl. "hack-kiddies".. Du könntest per .htaccess Date auch noch dafür sorgen, dass man sichn nur von bestimmten IPs aus bei Deinem System anmelden kann. CU maxhb ### [#8](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/8) · jweiland · 2004-08-10 Das geht nicht nur per .htaccess sondern auch noch über die Typo3 Konfiguration erreichen. Jochen Weiland ### [#9](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/9) · maxhb · 2004-08-10 > **jweiland schrieb:** > > Das geht nicht nur per .htaccess sondern auch noch über die Typo3 Konfiguration erreichen. Dazu mal eine Prinzipielle Frage. Die Schutzmechanismen von T3 funktionieren doch nur an den Stellen, an denen die entsprechenden Libs / Klassen auch aufgerufen werden. D.h., falls mal jemand vergißt, eine Datei mit den entsprechendem Code zu schützen kann ein Aussenstehender die Dateien ggf. aufrufen ohne eingeloggt zu sein. Dies kann bei einem Schutz per .htaccess nicht passieren, da dieser keine Modifikationen an irgend welchen Dateien benötigt. Liege ich da richtig?! Mir scheint das .htacces Konzept ist deutlich Fehlertoleranter... CU maxhb ### [#10](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/10) · Unbekannter Benutzer · 2004-08-10 ich denke die schwachstelle sind immer die passes... gebe ja zu, dass ich hin und wieder mal wardrive *duck* und was man da so als passes loggt is unglaublich. so sachen wie ichbinsn oder so sind absolut beliebt. john the r*** hat damit aber null problem... ne halbe stunde laufen lassen und man hat nahezu alle passes von nem drive... angewendet auf diesen thread hier: der streitpunkt sollte nicht zuerst die art des schutzes sein, sondern eher das passwort ### [#11](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/11) · jweiland · 2004-08-10 @maxhb: ja, mit .htaccess ist man so ziemlich auf der sicheren Seite... ### [#12](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/12) · Unbekannter Benutzer · 2004-08-10 solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel... ### [#13](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/13) · maxhb · 2004-08-10 > **Daniel_S schrieb:** > > solange die passes in nem geschützten bereich liegen... wenn man da drankommt ist es dasselbe spiel... Die Passwortdatei kann man unterhalb des durch .htaccess geschützten Bereiches oder sogar ausserhalb der Documentroot ablegen ... CU maxhb P.S.: Hab gerade mal das T3-Login so umgebaut, dass es die Daten aus dem htaccess-Vorgang übernimmt, klappt sehr gut. Nur dumm, dass man dann alle BE-User per hand als htaccess-User eintragen muss ... ### [#14](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/14) · maxhb · 2004-08-10 Hi! Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern? Oder greifen Extensions an dieser Stelle noch nicht und man muss diese Datei direkt manipulieren? CU maxhb ### [#15](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/15) · maxhb · 2004-08-10 > **maxhb schrieb:** > > Hi! > Vielleicht ein wenig off-topic, aber kann man die Klasse SC_index (zuständig für das BE-Login) aus der Datei typo3/index.php irgendwie als Extension erweitern? Ich hätte es mir denken sollen, man kann's - wie immer - erweitern. Ist halt Typo3 ;) CU maxhb ### [#16](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/16) · Unbekannter Benutzer · 2004-08-10 was hältst du davon das mal an kasper zu schicken? kasper2004(at)typo3.com ### [#17](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/17) · maxhb · 2004-08-10 > **Daniel_S schrieb:** > > was hältst du davon das mal an kasper zu schicken? > kasper2004(at)typo3.com Hatte eigentlich eher an das Repository gedacht, da diese Modifikation problemlos als Extension läuft. Hab's jetzt so erweitert, dass das Login ein wenig aufgepäppelt wird: 1. Falls ein Fehler beim Login passiert bleibt wenigstens der Username stehen 2. Falls eine htaccess Authorisierung vorliegt werden die Daten im Login-Formular verwendet. Bin gerade am grübeln, wie man das so hinbekommt, dass man nicht für jeden BE-User die htpasswd Datei manuell erweitern muss... CU maxhb ### [#18](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/18) · Unbekannter Benutzer · 2004-08-10 kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt... ### [#19](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/19) · Unbekannter Benutzer · 2004-08-10 ps find ich übrigens ne riesen verbesserung in bezug auf t3 security. dann hat man wenigstens nicht mehr die schwachstelle phpmyadmin, wo man mal eben nen neuen admin-user mit md5 pw einfügen kann und dann zugriff aufs be hat.... ### [#20](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/20) · maxhb · 2004-08-10 > **Daniel_S schrieb:** > > kann man die nicht aus der tabelle in nen array lesen mit zugehörigem pw und dann in die htpasswd per fput oder so reindängeln? dadrin stehen die doch auch per md5 verschlüsselt... Im Prinzip ja, die große Frage ist nur **wann** macht man das! Die Datei muss ja immer dann angepasst werden, wenn ein neuer User angelegt wird oder ein bestehender sein Passwort ändert. Ganz zu schweigen von Problemen der Nebenläufigkeit, falls zwei User gleichzeitig Ihr Passwort ändern... CU maxhb ### [#21](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/21) · maxhb · 2004-08-10 > **Daniel_S schrieb:** > > ps find ich übrigens ne riesen verbesserung in bezug auf t3 security. dann hat man wenigstens nicht mehr die schwachstelle phpmyadmin, wo man mal eben nen neuen admin-user mit md5 pw einfügen kann und dann zugriff aufs be hat.... Das ist ja der Witz! Wir sichern eigentlich alle Typo3-Sites unserer Kunden per htaccess ab und da nervte bisher immer das Doppelte-Lottchen *ähm* Login ;) Ich würde diese Extension allerdings gern richtig rund machen, so dass man da nicht dauernd per Hand nachtunen muss... CU maxhb ### [#22](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/22) · Unbekannter Benutzer · 2004-08-10 was ich meinte ist ein separates pypmyadmin, das ja auf vielen systemen parallel läuft und das regelmäßig sicherheitslücken aufweist... ### [#23](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/23) · Unbekannter Benutzer · 2004-08-10 und wie siehts aus die funktion umzuschreiben, wo der sql insert drinsteht? ### [#24](https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel/24) · laptop24 · 2004-10-22 Hallo, Vielleicht wäre ein Cronjob die Lösung. Der Job müßte dann alle X Minuten die User aus Typo3 extrahieren und in die PW-Datei für .htaccess kopieren. ODER man schreibt eine Extension, die in Typo3 installiert wird. Diese wird dann mit irgend einer Seite aufgerufen (vielleicht durch die "Vielen-Dank!-Ihr Passwort-wurde-geändert!"-Seite). Die Extension hätte dann nur den Zweck die User zu extrahieren und entsprechend als .htaccess-User zur Verfügung zu stellen. In einer solchen Extension könnte man dann auch einstellen, daß nur User einer bestimmten Gruppe extrahiert werden sollen. --- Quelle: „Sicherheit durch verzeichniswechsel“, typo3.net, https://www.typo3.net/d/14489-sicherheit-durch-verzeichniswechsel Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.